microsoft defender服务无法启动或安全智能签名过期，通常由服务状态异常、网络策略阻断、第三方软件接管、组策略限制或更新源配置错误等多环节问题导致，需逐层排查windefend/mssense服务运行状态、签名更新命令返回码、注册表wuserver设置、antivirusenabled状态及事件日志event id 1015/5001等关键线索。
microsoft defender 服务无法启动或安全智能签名过期，通常不是单一原因导致的，而是系统配置、网络策略、服务状态或更新链路中某个环节中断所致。排查需从服务基础状态入手，再逐层验证依赖项。
确认 Defender 核心服务是否正常运行
Defender 依赖多个 Windows 服务协同工作，其中最关键的是：Windows Defender Firewall（防火墙服务）、Security Center（安全中心服务）和 Microsoft Defender Antivirus Service（即 Sense 或 WinDefend 服务）。如果任一服务被禁用或崩溃，实时防护与更新都会失效。
- 按 Win + R 输入
services.msc，查找以下三项服务，确保其“状态”为“正在运行”，“启动类型”为“自动”： Windows Defender Firewall-
SecurityCenter（Windows 10/11 中可能显示为SecurityHealthService） -
WinDefend（Windows 10）或MsSense（Windows 11 及 Defender for Endpoint 环境） - 若
WinDefend显示“已停止”且无法手动启动，右键选择“属性”，在“登录”选项卡中确认服务以 LocalSystem 账户运行；再检查“恢复”选项卡，确保“第一次失败”设为“重新启动服务”。
检查签名更新是否真正过期或卡在旧版本
所谓“签名过期”，实际是安全智能（Antivirus Definition）未成功下载最新版，表现为 Windows 安全中心提示“保护定义过期”或事件日志中出现 Event ID 1015（签名更新失败）。这不等于证书过期，而是更新机制断连。
outlook-microsoft
下载
微软 Outlook 邮箱和日历管理工具（支持世纪互联版 Office 365）。用于查看、发送、搜索邮件，管理日历日程，创建会议，查询忙闲状态。注意：此功能仅支持世纪互联（21Vianet）版 Microsoft 365，使用 login.chinacloudapi.cn。
- 打开命令提示符（管理员），执行：
MpCmdRun.exe -SignatureUpdate
观察返回结果——若提示“0x80070005”（拒绝访问），说明权限或组策略阻止了更新；若返回“0x80072efd”，则大概率是网络连接问题。 - 手动验证签名文件时间戳：
进入路径%ProgramData%\Microsoft\Windows Defender\Definition Updates\，查看最新子文件夹名（如20261009.045），对比当前日期。若文件夹日期早于 3 天，基本可判定更新失败。 - 检查签名更新源是否被策略覆盖：
运行reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /v WUServer，若返回非空值，说明正通过 WSUS 更新签名，需确认该 WSUS 服务器已批准 KB2267602（MDAV 定义更新）。
验证 Defender 是否被第三方软件接管或禁用
Windows 安全中心只允许一个“主防病毒引擎”活跃。一旦安装其他 AV 软件（如火绒、360、卡巴斯基），即使卸载不彻底，也可能残留注册表项，导致 Defender 被静默禁用——此时服务看似运行，实则不扫描、不更新。
- 运行 PowerShell（管理员）：
Get-MpComputerStatus | Select-Object AntivirusEnabled, AMServiceEnabled, IsTamperProtected, AntispywareEnabled
重点看AntivirusEnabled和AMServiceEnabled是否均为 True。若为 False，说明 Defender 已被接管。 - 检查是否存在冲突的 AV 注册表项：
reg query "HKLM\SOFTWARE\Microsoft\Windows Security Health Platform\ThirdPartyProviders"
若有非空输出，说明有第三方安全产品曾注册接口，需清理对应项或使用微软官方工具 RemoveThirdPartyAV 卸载残留。 - 临时禁用篡改防护（Tamper Protection）：
它有时会阻止服务重启或注册表修改。可在“Windows 安全中心 → 病毒和威胁防护 → 管理设置”中关闭，排查后再开启。
查日志定位具体失败环节
所有 Defender 启动与更新行为都会写入事件日志，比弹窗提示更准确、更及时。
- 打开
eventvwr.msc→ 展开“应用程序和服务日志 > Microsoft > Windows > Defender > Operational” - 筛选关键事件 ID：
• 1006：检测到威胁（说明引擎已工作）
• 1015：签名更新失败（含错误代码）
• 5001：WinDefend 服务启动失败（常带失败原因字符串）
• 5007：平台初始化失败（可能因签名损坏或路径权限异常） - 双击事件 → “详细信息”选项卡 → 查看
EventData中的ErrorCode和Message字段，直接对应微软官方错误码文档（如 0x80070422 表示服务控制管理器拒绝启动）。
